KB5040268: 如何管理與 CVE-2024-3596 相關聯的 Access-Request 封包攻擊弱點

Access-Request 封包因為包含 Proxy-State 屬性但缺少 Message-Authenticator 屬性，而遭捨棄。 請考慮將 RADIUS 用戶端變更為包含 Message-Authenticator 屬性。 或者，您也可以使用 limitProxyState 設定，為 RADIUS 用戶端新增例外狀況。

這是 Access-Request 封包的稽核事件，其中 Proxy-State 狀態不包含 Message-Authenticator 屬性。 請考慮將 RADIUS 用戶端變更為包含 Message-Authenticator 屬性。 一旦啟用 limitproxystate 設定，系統便會捨棄 RADIUS 封包。

這是在 Proxy 中沒有 Message-Authenticator 屬性的情況下收到的 RADIUS 回應封包稽核事件。 請考慮變更 Message-Authenticator 屬性的指定 RADIUS 伺服器。 一旦啟用 requiremsgauth 設定，系統便會捨棄 RADIUS 封包。

當未設定建議的設定時，會在服務啟動期間記錄此事件。 如果 RADIUS 網路不安全，請考慮啟用該設定。 針對安全網路，可以忽略這些事件。

此設定可讓 NPS Proxy 開始在所有 Access-Request 封包中傳送 Message-Authenticator 屬性。 若要啟動此設定，請使用下列其中一種方法。

方法 1: 使用 NPS Microsoft Management Console(MMC)

如果使用 NPS MMC，請依照下列步驟執行:

1. 在伺服器上開啟 NPS 使用者介面 (UI)。
2. 開啟遠端 RADIUS 伺服器群組。
3. 選取 [RADIUS 伺服器]。
4. 移至 [驗證/帳戶處理]。
5. 點擊以選取 [要求必須包含 Message-Authenticator 屬性] 核取方塊。

方法 2: 使用 netsh 命令

若要使用 netsh，請執行下列命令:

欲了解更多資訊，請參閱 遠端 RADIUS 伺服器群組指令。

此設定需要在所有 Access-Request 封包中使用 Message-Authenticator 屬性，如果缺乏該屬性，則會捨棄封包。

方法 1: 使用 NPS Microsoft Management Console(MMC)

如果使用 NPS MMC，請依照下列步驟執行:

1. 在伺服器上開啟 NPS 使用者介面 (UI)。
2. 開啟 [RADIUS 用戶端]。
3. 選取 [RADIUS 用戶端]。
4. 移至 [進階設定]。
5. 點擊以選取 Access-Request 訊息必須包含 message-authenticator 屬性 核取方塊。

欲了解更多資訊，請參閱 「配置 RADIUS 用戶端」。

方法 2: 使用 netsh 命令

若要使用 netsh，請執行下列命令:

欲了解更多資訊，請參閱 遠端 RADIUS 伺服器群組指令。

此設定可讓 NPS 伺服器捨棄包含 Proxy-State 屬性但不包含 Message-Authenticator 屬性的潛在易受攻擊的 Access-Request 封包。 此設定支援三種模式:

• 稽核
• [啟用]
• 停用

在 [稽核] 模式中，會記錄警告事件 (事件識別碼: 4419)，但仍會處理該要求。 使用此模式，可識別傳送要求的不相容實體。

視需要使用 netsh 命令來設定、啟用及新增例外狀況。

1. 若要在 [稽核] 模式中設定用戶端，請執行下列命令:

   注意

   netsh nps set limitproxystate all = "audit"

2. 若要在 [啟用] 模式中設定用戶端，請執行下列命令:

   注意

   netsh nps set limitproxystate all = "enable"

3. 若要新增例外以排除用戶端參與 limitProxystate 驗證，請執行以下指令：

   注意

   Netsh NPS Set limitproxystate Name = <client name> exception = “Yes”

此設定可讓 NPS Proxy 在不具有 Message-Authenticator 屬性的情況下，捨棄潛在易受攻擊的回應訊息。 此設定支援三種模式:

• 稽核
• [啟用]
• Disable

在 [稽核] 模式中，會記錄警告事件 (事件識別碼: 4420)，但仍會處理該要求。 使用此模式，可識別傳送回應的不相容實體。

視需要使用 netsh 命令來設定、啟用及新增例外狀況。

1. 若要在 [稽核] 模式中設定伺服器，請執行下列命令:

   注意

   netsh nps set Requiremsgauth all = "audit"

2. 若要啟用所有伺服器的設定，請執行下列命令:

   注意

   Netsh NPS set requiremsgauth all = "enable"

3. 若要新增例外狀況，以從 requireauthmsg 驗證排除伺服器，請執行下列命令:

   注意

   Netsh NPS set requiremsgauth remoteservergroup = <遠端伺服器群組名稱> address = <server address> exception = “yes”

檢查相關事件的 NPS 模組事件。 請考慮為受影響的用戶端/伺服器新增例外狀況或設定調整。

否，本文中討論的設定建議用於不安全的網路。

本文提及的協力廠商產品是由與 Microsoft 無關的獨立廠商所製造。 Microsoft 不以默示或其他方式，提供與這些產品的效能或可靠性有關的擔保。

我們提供協力廠商的連絡資訊，協助您尋找技術支援。 此連絡資訊如有變更，恕不另行通知。 我們不保證此協力廠商連絡資訊的正確性。